Portal do desenvolvedor

O portal do desenvolvedor é a área onde uma desenvolvedora (a conta que publica aplicativos) cria aplicativos, emite credenciais e acompanha entregas.

O que o cadastro define

Cada aplicativo é registrado com:

Campo	Para que serve
Nome e descrição	Aparecem na loja para os administradores que podem ver o aplicativo.
Versão	Cada versão fixa os escopos que o aplicativo declara. Pedir um escopo novo exige uma versão nova e um novo consentimento.
Escopos	A lista de escopos que o aplicativo pede.
Endereços de retorno (`redirect_uri`)	Onde a owiew devolve o administrador depois do consentimento. A comparação é por igualdade exata.
Endereço de instalação	Página do seu sistema que inicia a instalação quando o administrador clica em Instalar na loja.
Domínios de webhook	Domínios que recebem eventos. A loja os mostra ao administrador.
Modo	`oauth` (chama a API e recebe webhook) ou `receptor` (só recebe webhook).
Destinos autorizados	Empresas ou projetos que veem o aplicativo na loja.

O identificador do aplicativo tem o formato app_ seguido de 26 caracteres (por exemplo, app_01JC8M4Z2QXW5N7R9T3V6B0KHE, valor de exemplo). Ele é o client_id do fluxo OAuth.

Credenciais

Aplicativos no modo oauth recebem um segredo de aplicativo, que começa com owa_.

A owiew mostra o segredo uma única vez, no momento da emissão. Ela guarda apenas o hash e não consegue recuperar o valor.
Cada segredo tem validade, definida na emissão (de um segundo até 365 dias). Segredo vencido ou revogado é recusado como credencial inválida.
Para rotacionar, emita um segredo novo, atualize o seu cofre e revogue o antigo. Veja o guia de segurança.
Aplicativos no modo receptor não têm segredo. Pedir a emissão é recusado.

O segredo nunca vai no navegador, na URL, em log ou em repositório. Ele autentica o seu backend no endpoint de token.

Ambientes

O envio real de webhook acontece somente em produção. Fora de produção, a owiew grava o que enviaria (a entrega fica visível para a equipe) e não abre conexão com o seu servidor. Teste o seu receptor localmente com o evento de teste e o exemplo de código, que reproduzem a assinatura exatamente como a owiew calcula.

O projeto também precisa ter o módulo de webhooks de aplicativos ativo para que algo seja enviado. Sem ele, as entregas são descartadas com o motivo modulo-inativo.

Token do portal

Quando o portal estiver disponível, a pessoa que opera a conta de desenvolvedora entra pelo login da owiew e recebe um token do portal, usado só para as rotas do portal. As regras já definidas:

Ele vale 2 minutos e só é emitido para sessão com segundo fator.
Ele identifica a pessoa, não o aplicativo. A associação à desenvolvedora é conferida no servidor, nunca vem do token nem do cliente.
Ele não funciona em /apps/v1, e o token de app não funciona no portal. Cada lado recusa o token do outro pela audiência.
Ações sensíveis, como emitir ou revogar credencial, exigem uma confirmação recente de segundo fator (step-up).